Redis安全与多租户治理
Redis 安全包括网络隔离、认证授权、命令限制、TLS、审计和租户隔离。由于 Redis 命令能力强，暴露在不可信网络中会造成严重风险。
# 1. 学习定位
| 维度 | 内容 |
|---|---|
| 难度层级 | 安全运维 |
| 核心目标 | 先会用，再理解机制，最后能做工程取舍和故障分析 |
| 学习方法 | 带着业务场景看命令、SQL、数据结构、日志和运行时指标 |
# 2. 核心地图
Redis安全与多租户治理
├─ bind
├─ protected-mode
├─ requirepass
├─ ACL
├─ TLS
├─ rename-command
├─ 网络隔离
└─ 租户配额
# 3. 小章节深度讲解
下面把核心地图中的每个点拆开讲。每个小节都同时面向开发和运维：开发侧关注怎么设计、怎么写代码、怎么避免错误；运维侧关注怎么监控、怎么定位、怎么恢复。
# 3.1. bind
# 是什么
bind 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.2. protected-mode
# 是什么
protected-mode 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.3. requirepass
# 是什么
requirepass 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.4. ACL
# 是什么
ACL 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.5. TLS
# 是什么
TLS 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.6. rename-command
# 是什么
rename-command 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.7. 网络隔离
# 是什么
网络隔离 属于 Redis 事件循环和网络模型。Redis 能处理大量连接，是因为 IO 多路复用和短命令串行执行共同作用。
# 开发人员怎么用
开发人员要避免大响应、慢脚本、全量集合运算和无限阻塞读取。客户端超时、连接池和重试策略要与 Redis 延迟目标匹配。
# 运维人员怎么看
运维人员要关注 P99/P999 延迟、blocked_clients、客户端输入输出缓冲、网络吞吐和单核 CPU。平均延迟无法说明尖刺风险。
# 常见风险
常见风险是慢客户端消费响应太慢，输出缓冲不断增长，最终影响内存和事件循环。
# 3.8. 租户配额
# 是什么
租户配额 属于 Redis 安全与租户治理。Redis 一旦暴露给不可信网络，高权限命令会让数据、配置和持久化文件都处于风险中。
# 开发人员怎么用
开发人员要使用独立账号、最小权限、key 前缀隔离和合理超时。应用账户不应拥有 CONFIG、FLUSHALL 等管理能力。
# 运维人员怎么看
运维人员要落实网络隔离、ACL、TLS、危险命令限制、审计和备份保护。共享实例还要治理内存和慢命令配额。
# 常见风险
常见风险是多个业务共用默认高权限账号，出事故时既无法追踪，也无法限制影响范围。
# 3.9. 本篇学习实验
建议准备一个独立 Redis 实例，构造小 key、大 key、热点 key、过期 key 和慢命令，观察 INFO、SLOWLOG、LATENCY、内存变化和客户端超时。每个实验都要记录命令复杂度和返回数据量。
开发侧实验重点是理解数据结构和命令边界，运维侧实验重点是理解延迟、内存和复制如何变化。真正掌握本篇内容，应该能从延迟尖刺反推大 key、慢命令、持久化或网络问题。
# 4. 核心机制
- ACL 可以按用户限制命令、key 模式和频道访问，适合多应用共享实例时做权限隔离。
- 危险管理命令应限制给运维账户，应用账户不应拥有
FLUSHALL、CONFIG等权限。 - 网络隔离比密码更基础，Redis 不应直接暴露公网。
- 多租户共享实例要控制 key 前缀、内存配额、命令复杂度和慢请求影响。
# 5. 工程实践
- 生产开启 protected mode 或通过网络安全组限制访问来源。
- 使用 ACL 为不同应用分配账号和 key 前缀权限。
- 禁用或限制危险命令，并记录运维命令审计。
- 多业务重要性不同的场景优先物理隔离实例。
# 6. 常见坑
- Redis 无密码暴露公网，被扫描后清空或植入恶意数据。
- 所有应用共用一个高权限账户。
- 测试业务大 key 拖慢核心业务实例。
- 只做认证，不做网络隔离和命令限制。
# 7. 专家视角
- Redis 安全要遵循纵深防御：网络、身份、权限、命令、审计、备份。
- 专家会按业务等级隔离实例，而不是为了节省机器把所有 key 混在一起。
- 多租户治理最终要解决资源争用，而不仅是 key 前缀命名。
# 8. Tips 快问快答
Q：Redis 只设置密码够安全吗？
A：不够。还需要网络隔离、ACL、危险命令限制和审计。
Q：应用账户需要 CONFIG 权限吗？
A：通常不需要，应最小权限。
Q：多业务共享 Redis 最大风险是什么？
A：资源互相影响和权限边界不清。
# 9. 阶段小结
Redis安全与多租户治理 的学习重点不是记住零散概念，而是把它放回真实系统：数据如何进入、如何存储、如何被查询、如何在并发下保持正确、如何在故障后恢复。掌握这些连接关系，才能从“会用”走向“能设计、能优化、能排障”。